Mac上可利用原生命令与轻量工具主动识别配置缺陷与服务暴露风险：需手动启用防火墙Stealth模式，用pfctl验证block规则，lsof/nmap检查公网监听，Wavely+Nuclei扫描FileVault/SMBv1等配置漏洞，并审计OpenCore虚拟机的SecureBootModel、Vault及-snapshot参数。
在Mac上主动识别系统配置缺陷与服务暴露风险，是防止被攻击的第一道防线。不依赖云端API、不上传任何本地数据，仅用原生命令和轻量工具就能完成关键面扫描。
快速验证防火墙隐身状态
macOS防火墙开启≠真正隐身，Stealth模式必须手动启用才生效。
打开“系统设置”→“网络”→“防火墙”→点击右下角“详细信息…”→勾选【启用隐藏模式（Stealth Mode）】。
这一步漏掉会导致nmap扫描时所有端口显示open或closed，而非filtered——攻击者一眼就能判断你在线且可探测。
终端执行 sudo pfctl -s rules，确认输出中包含 block drop in all 规则行。
检查高危服务是否监听公网
方法一：用原生lsof查SSH、SMB、远程管理等服务绑定地址
运行 sudo lsof -iTCP -sTCP:LISTEN -P | grep -E "(ssh|smb|screen|vnc|http)"。
重点看第二列（PID）和最后一列（ADDRESS），若出现 *:22 或 :::22，说明SSH正监听所有接口——应改为仅监听127.0.0.1。
方法二：用nmap从局域网另一台设备验证
在iPhone或Windows电脑上执行 nmap -sS -Pn [你的Mac局域网IP]，预期全部端口返回 filtered；若出现 open，立刻关闭对应服务或限制绑定地址。
扫描本地服务漏洞（Nuclei + Wavely）
第一步：安装Wavely可视化前端（替代命令行直接调用Nuclei）
访问 https://www.php.cn/link/4bb7060783a83e05c806e08ea1fa1c6e 下载最新版DMG，双击安装到/Applications。
第二步：启动Wavely → 点击左上角“+ New Scan” → 选择“Nuclei Template” → 在模板搜索框输入 macos 或 filevault。
第三步：勾选 misconfiguration/macos-filevault-disabled.yaml 和 exposure/macos-smbv1-enabled.yaml → 点击“Run Scan”。
⚠️注意：首次运行需等待Wavely自动下载Nuclei引擎及模板库，约耗时90秒，期间界面无响应属正常。
第四步：查看结果列表，红色高亮项即为已确认的配置型漏洞，例如“FileVault未启用”或“SMBv1协议残留”。
审计OpenCore虚拟机引导安全（如使用OSX-KVM）
若你在Mac上运行macOS虚拟机，请立即检查config.plist关键字段：
① SecureBootModel 必须设为 MacPro7,1 或对应真实机型，禁用 Disabled；
② Vault 必须设为 Required，否则OpenCore配置可被任意篡改；
③ 启动参数中不得含 -snapshot，该参数会绕过磁盘写保护，导致快照污染宿主机磁盘镜像。
这三项任一缺失，虚拟机就等同于裸奔——攻击者一旦突破Guest OS，可直接修改宿主机引导逻辑。
